Keystone Hardware Wallet heeft bevestigd dat de officiële website zonder autorisatie is geraadpleegd, waarbij klantnamen, contactgegevens, verzendadressen en bestelinformatie zijn blootgelegd. Het bedrijf maakte het datalek zaterdag bekend na een meerdaagse beoordeling van het incident en meldde dat betaalgegevens en alle aan de portemonnee gerelateerde beveiligingsgegevens niet zijn gecompromitteerd.

De ongeautoriseerde toegang vond plaats op 20 oktober. Volgens Keystone detecteerde het bedrijf verdachte activiteit en beoordeelde vervolgens de API-activiteit bij Shopify, zijn e-commerceprovider. Op 23 oktober bevestigde Keystone dat een derde partij klantgegevens had verkregen. Het bedrijf blokkeerde vervolgens de ongeautoriseerde toegang en dichtte het onderliggende beveiligingslek.

Het nieuws van de bevestiging werd op X gedeeld door blockchain-medium Wu Blockchain:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access

Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Welke gegevens zijn blootgelegd

Volgens de bekendmaking van het bedrijf omvatten de blootgelegde informatie klantnamen, contactgegevens en verzendadressen, samen met bestelgegevens zoals de aangekochte artikelen en hun prijzen. Keystone meldde dat betaalkaart- en bankgegevens niet zijn gecompromitteerd en dat portemonneewachtwoorden, private keys en herstelzinnen eveneens onaangetast zijn. Die gegevens bepalen uiteindelijk de toegang tot gelden in zelfbeheer, en daarom trok de bekendmaking een duidelijke grens tussen bestelgegevens en portemonneebeveiliging.

Het bedrijf heeft niet bekendgemaakt hoeveel klanten zijn getroffen, noch heeft het precies aangegeven hoe de ongeautoriseerde toegang heeft plaatsgevonden. Keystone heeft een onderzoek gestart, dat het grondig noemde, en informeert getroffen klanten per e-mail.

Oplichtingswaarschuwingen voor klanten

Keystone waarschuwde oplichters het incident kunnen misbruiken door zich voor te doen als vertegenwoordigers van het bedrijf, waarbij ze mogelijk refunds, vervangende apparaten of hulp bij bestellingen en verzendadressen aanbieden. Het bedrijf riep klanten op onverwachte links te vermijden en herhaalde dat het nooit om herstelzinnen of private keys vraagt. Klanten kregen ook het advies geen herstelzinnen in te voeren op apparaten die ze niet zelf hadden besteld. Omdat de blootgelegde gegevens tonen wie een apparaat heeft besteld en waar het is verzonden, beschouwen de waarschuwingen het incident vooral als een risico dat klanten worden aangestuurd, niet als een directe dreiging voor opgeslagen gelden.

Een dag vóór de officiële bevestiging meldde een X-gebruiker bekend als OG Degen een oproep te hebben ontvangen van een gespooft Montreal SPVM-nummer, waarbij de beller volgens de gebruiker een social engineering-poging deed. Binance-oprichter CZ reageerde ook op het lek op X.

Over Keystone

Keystone is een in Hongkong gevestigd portemonneemerken bekend om zijn air-gapped, op QR-codes gebaseerde aanpak voor het ondertekenen van transacties, een ontwerp dat private keys offline houdt zonder USB-, Bluetooth- of Wi-Fi-verbindingen. Het bedrijf groeide van Bitcoin-gerichte oorsprong uit tot een multichain-portemonnee en ondersteunt nu Ethereum, Solana, Polkadot en Cosmos via integraties met softwareportemonnees zoals MetaMask, Solflare, Keplr, Rabby en OKX Wallet.

Beveiligingsincidenten in de sector in 2026

De bekendmaking van Keystone voegt zich bij een reeks beveiligingsproblemen bij fabrikanten van hardwareportemonnees in 2026. Trezor maakte in augustus een datalek bij zijn logistiekprovider ShipMonk bekend. Ledger bevestigde eerder deze maand dat criminelen originele portemonnees hadden aangepast om herstelzinnen te stelen en deze via Zuidoost-Aziatische wederverkopers hadden doorverkocht. Coldcard kreeg te maken met een bug rond zwakke seed-generatie en Safepal meldde een lek van klantinformatie. Samen laten deze incidenten zien hoe klantgegevens rond bestellen en afhandeling — van e-commercewinkels tot logistiekpartners — dit jaar een terugkerend kwetsbaar punt zijn voor fabrikanten van hardwareportemonnees.

Wat nu volgt

Keystone meldde de komende dagen een gedetailleerd rapport over het onderzoek te zullen publiceren. Het bedrijf plaatste zijn eerste bekendmaking zaterdag om 1:59 p.m. ET op X. Tot die tijd kunnen getroffen klanten meldingen per e-mail verwachten, en het advies van het bedrijf blijft om ongevraagd contact — vooral elk verzoek om een herstelzin — als waarschuwingssignaal te behandelen.

Bron: CoinCentral